Citrix NetScaler零日误差遭使用

宣布时间 2026-09-28

1. Citrix NetScaler零日误差遭使用


9月27日 ，Citrix确认NetScaler ADC和NetScaler Gateway保存两个严重零日误差CVE-2026-88771和CVE-2026-88772 ，且在官方补丁宣布前已遭攻击者现实使用。两误差CVSS评分均为9.5 ，其中CVE-2026-88771属于输入验证缺陷 ，可被未经身份验证的攻击者使用执行恣意下令；CVE-2026-88772属于内存溢出误差 ，在启用DTLS的装备上可能导致远程代码执行或拒绝服务 ，尤其涉及默认启用DTLS的NetScaler Gateway VPN虚拟服务器。攻击运动最初由IT供应商和清静团队向管理员发出私下预警 ，随后获watchTowr及荷兰国家网络清静中心等机构确认。Citrix于9月27日宣布修复程序 ，并建议受影响用户尽快升级至14.1-73.37、13.1-64.23及更高版本 ，同时提供入侵指标（IoC）用于排查潜在入侵。由于NetScaler普遍肩负VPN、远程会见、负载平衡和身份验证等要害功效 ，相关装备一旦遭入侵 ，可能成为攻击者进入企业网络界线的主要入口。


https://securityaffairs.com/199873/security/citrix-confirmed-two-new-netscaler-flaws-exploited-as-zero-day.html


2. 微软SharePoint高危误差遭在野攻击


9月27日 ，微软SharePoint远程代码执行误差CVE-2026-65660已被发明遭现实攻击 ，距离微软于2026年8月“周二补丁日”宣布修复程序约六周 ，距离研究职员披露手艺细节仅数日。该误差允许已认证且具有初级别权限的攻击者绕过类型检查 ，在无需用户交互的情形下执行恣意代码；若与其他身份验证绕过误差团结 ，还可能实现未经身份验证的远程代码执行。微软于9月25日确认掌握针对该误差攻击的可靠证据 ，CISA同日将其纳入已知被使用误差（KEV）目录 ，并要求联邦机构限期完成修补。威胁情报机构Previdian称 ，9月24日已发明相关使用实验 ，越日进一步发明攻击者建设WebShell后门的行为。现阶段尚不清晰攻击者身份 ，相关攻击疑似在Viettel Security披露手艺细节后不久泛起。值得注重的是 ，微软最初将该误差评估为中等严重度诱骗问题 ，后调解为高危远程代码执行误差。


https://www.securityweek.com/microsoft-sharepoint-flaw-cve-2026-65660-now-exploited-in-attacks/


3. Clop数据泄露网站遭入侵并迁徙


9月25日 ，勒索软件团伙Clop的数据泄露网站克日遭ShinyHunters入侵并改动 ，攻击者随后将网站替换为全页面 ，并宣称窃取了Clop Tor洋葱服务的源代码、Grav CMS插件、服务器日志及私钥。Clop确认其服务器运行的Grav CMS 1.7.43未完成更新 ，并已将数据泄露网站迁徙至新的Tor地址 ，同时否定与ShinyHunters保存合作或谈判关系。经Grav CMS开发方确认 ，攻击所使用的误差为CVE-2026-42608 ，是Grav焦点中的未经身份验证路径遍历误差 ，攻击者可通过结构恶意参数 ，使文件上传路径被建设至预期目录之外 ，从而向Grav装置目录其他位置写入文件。该误差此前已在Grav 2.0中修复 ，但恒久未向1.7分支移植 ，导致旧版本仍保存危害。Grav在确认误差细节后 ，于近期宣布1.7.53.4版本并完成修复 ，鞭策仍使用1.7分支的用户尽快升级。


https://www.bleepingcomputer.com/news/security/shinyhunters-hacked-clop-leak-site-using-grav-cms-path-traversal-flaw/


4. Bitget遭疑似朝鲜黑客攻击损失3.5亿美元


9月25日 ，加密钱币生意所Bitget体现 ，9月24日发明少数热钱包和温钱包爆发未经授权转账 ，疑似与朝鲜有关联的威胁行为者窃取约3.516亿美元数字资产 ，随后平台一度暂停提现。Bitget称 ，用户余额、冷钱包及大部分平台资产仍坚持清静 ，存款和生意功效正常 ，用户�；せ鸾绺捍舜纹教ㄊ挛裨斐傻挠跋�。公司已团结Mandiant和SlowMist开展视察 ，首席执行官体现 ，受影响资产包括多个区块链上的ETH、XRP、BNB、AVAX、USDT和USDC ，攻击者疑似通过攻破后端钱包系统、伪造生意数据并绕过授权流程转移资金。Bitget已联系相关区块链基金会 ，部分基金会据称已冻结攻击者钱包地址。凭证IP行为模式及链上剖析 ，Bitget方面以为此次攻击手法与已知朝鲜黑客组织的攻击模式高度一致。Bitget称其服务笼罩150多个国家和地区、用户凌驾1.2亿 ，此次事务如进一步扩散 ，可能对平台资产清静及用户信任造成影响。


https://securityaffairs.com/199754/cyber-crime/cryptocurrency-exchange-bitget-says-north-korea-linked-hackers-stole-351-6-million.html


5. Kiteworks遭潜在零日攻击威胁


9月25日 ，科技巨头Kiteworks克日收到执法部分提供的可信威胁情报 ，称威胁行为者可能试图攻击部分客户系统 ，公司随即向客户发出警报 ，并建议在周末前尽快关闭相关系统 ，以提防潜在零日攻击。Kiteworks首席信息清静官体现 ，现在尚未发明公司自身系统遭到入侵 ，此次通知属于预防性步伐 ，公司已在最新软件版本9.5.1中修复所有已知误差 ，并建议客户升级。Kiteworks担心其产品可能保存尚未知晓的误差 ，攻击者可能使用这些误差在厂商完成修复前实验攻击。现在尚不清晰详细受影响客户数目及潜在攻击者身份 ，Kiteworks客户笼罩医疗、科技、教育、汽车和政府等多个行业。一名医疗行业客户在收到警报后连忙关闭服务器 ，导致医生与患者联系泛起延迟和中止。Kiteworks前身为Accellion ，2021年曾因文件传输产品误差遭大规模攻击 ，数百家机构的数据被窃取并遭勒索。


https://techcrunch.com/2026/09/25/kiteworks-urges-customers-to-shut-down-their-servers-amid-imminent-threat-of-cyberattack/


6. Carbonato僵尸网络攻击袒露Docker主机


9月24日 ，新型僵尸网络恶意软件Carbonato正在针对Docker守护历程袒露且缺乏身份验证的主机实验攻击 ，通过2375端口会见Docker API ，启动特权容器并获取主机控制权。ThreatDown研究职员发明 ，该恶意软件具有蠕虫式撒播能力 ，可一连扫描网络中的其他袒露Docker守护历程 ，并从未经身份验证的Docker注册表获取恶意植入程序。入侵后 ，Carbonato通过反向SSH隧道建设远程控制通道 ，并使用cron、systemd、rc.local及OpenRC等机制实现长期化 ，同时通过Telegram回传安排信息。此次攻击的突出特点是将Hermes Agent AI框架装置到受害主机 ，并使用名为“GH0ST”的代理执行攻击者下发的使命 ，包括网络AI API密钥、SSH凭证、会见令牌等敏感信息、执行下令并返回效果 ，从而增强攻击者对受熏染主机的交互式控制能力。ThreatDown掌握的相关运动证据笼罩2024年10月至2026年8月 ，但现在无法将Carbonato与已知威胁组织关联。


https://www.bleepingcomputer.com/news/security/new-carbonato-malware-uses-ai-agents-to-hijack-exposed-docker-hosts/